:quality(90):no_upscale()){kind=logo}
Drei Regierungen warnen unabhängig voneinander davor, dass Messaging-Apps für Verbraucher angegriffen werden
STATUS: Koordinierte behördenübergreifende Warnmeldung SCHWERIGKEITSGRAD: 6/10 ZIELGRUPPE: Verantwortliche für Sicherheit in den Bereichen Regierung, Verteidigung und kritische Infrastruktur
12. Oktober 2026
·Blog
·Sichere Kommunikation
:quality(90):no_upscale())
In koordinierten Warnmeldungen, die in derselben Woche veröffentlicht wurden, wiesen das FBI, das britische National Cyber Security Centre und der niederländische Geheimdienst AIVD jeweils darauf hin, dass staatlich geförderte Akteure Verbraucher-Messaging-Plattformen mittlerweile als primären Angriffsvektor nutzen und nicht mehr nur als eine Methode unter vielen. Die Warnmeldungen der drei verbündeten Behörden verfolgen den ersten Zugriff auf Verbraucher-Messaging-Apps zurück, bei denen jede Partei, die über eine Telefonnummer oder einen Benutzernamen verfügt, eine Unterhaltung beginnen und wochenlang Vertrauen aufbauen kann, bevor überhaupt eine Datei auftaucht.
Was ist passiert?
Das britische National Cyber Security Centre (NCSC), das US-amerikanische FBI und der niederländische Allgemeine Nachrichten- und Sicherheitsdienst (AIVD) veröffentlichten am 15. September 2026 eine gemeinsame Warnmeldung zu „CHOSEN BRICK“, einer Windows-Spyware-Familie, die seit mindestens 2025 gegen Dissidenten, Aktivisten und Journalisten in den drei Ländern (sowie im Ausland) eingesetzt wird. Die Warnmeldung enthält keine CVE-Nummer. Es wird keine Schwachstelle in der Sicherheitskette ausgenutzt. Im Mittelpunkt steht der Erstzugang. In jeder Warnmeldung wurde dasselbe Muster beschrieben: das Vortäuschen einer vertrauenswürdigen Kontaktperson, die direkte Verbreitung von Malware über beliebte Chat-Apps sowie die fortlaufende Überwachung über dieselben Kanäle, die die Opfer zur Kommunikation nutzen.
Angreifer recherchieren das Ziel, eröffnen dann eine Unterhaltung über WhatsApp, Telegram oder soziale Medien, wobei sie sich als bekannter Kontakt oder als technischer Support ausgeben, und bauen über Tage oder Wochen hinweg Vertrauen auf, bevor überhaupt eine Datei auftaucht. Die Schadlast ist eine Windows-Ausführungsdatei, die als etwas Alltägliches getarnt ist: Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player, KeePass und in einigen Fällen MRT-Befunde. Wird die Datei ausgeführt, erscheint ein glaubwürdiger Bildschirm, der dem Köder entspricht, während sich die Kernkomponente im Hintergrund installiert.
In dieser Kette wurde keine Messaging-App überwunden. Der Aspekt, den die Angreifer ausnutzten, ist die Erreichbarkeit. Eine Verbraucherplattform ist so aufgebaut, dass jeder, der über eine Nummer oder einen Benutzernamen verfügt, eine Unterhaltung beginnen kann, und das Ziel kann nur anhand seines eigenen Urteilsvermögens feststellen, wer sich am anderen Ende befindet. Der Sicherheitshinweis hält fest, dass dieses Urteilsvermögen nach wochenlangem geduldigem Kontakt versagt. Die Gestaltung der Angriffe ist bewusst gewählt. Der Datenverkehr zu weit verbreiteten, verschlüsselten Messaging-Diensten für Verbraucher fügt sich nahtlos in den normalen Netzwerkverkehr ein, umgeht so die Sicherheitsteams und vermeidet eine Erkennung, die andernfalls bei der Nutzung unbekannter Infrastruktur stattfinden würde.
Die Zustellung folgt derselben Logik. Die erste Zustellung erfolgt häufig an das Arbeits- oder Firmengerät, und wenn dies fehlschlägt oder das Risiko, dort entdeckt zu werden, als erheblich eingeschätzt wird, fordert der Angreifer das Ziel auf, die Datei stattdessen auf einem privaten Gerät zu öffnen. Die Gerätesicherheitsmaßnahmen werden vom Angreifer niemals vollständig getestet. Stattdessen lenkt er das Ziel auf ein Gerät um, auf dem diese Maßnahmen keine Anwendung finden.
Auf dem Host bleibt sich CHOSEN BRICK über einen „Run“-Schlüssel unter HKCU erhalten und fügt eine Ausnahme für Microsoft Defender hinzu. Die Command-&-Control-Kommunikation läuft über Telegram mit einer eindeutigen Bot-ID pro Opfergerät, sodass die Entdeckung eines Geräts nicht die anderen gefährdet. Die Exfiltration erfolgt über Telegram und in handelsübliche Cloud-Speicher. Zu den Funktionen gehören Bildschirmaufnahmen, Mikrofonaufnahmen sowie der Diebstahl von E-Mail- und Telegram-/WhatsApp-Daten. Die Behörden beobachteten keine automatisierte laterale Bewegung; die Malware konzentriert sich auf einzelne Geräte. Keine Behörde veröffentlichte eine Opferzahl. Persönliche Daten einiger früherer Opfer sind auf Leak-Seiten aufgetaucht, wodurch neben dem Datenverlust auch die physische Sicherheit gefährdet ist.
Was sie herausgefunden haben und was das bedeutet
Ergebnis | Was das bedeutet | Operative Konsequenz | Offene Frage |
Drei nationale Sicherheitsbehörden aus drei verschiedenen Ländern haben unabhängig voneinander dasselbe Muster bestätigt, wonach staatlich geförderte Akteure Verbraucher-Messaging-Apps als primären Angriffsvektor nutzen. | Drei verschiedene Geheimdienste, die jeweils auf der Grundlage ihrer eigenen nationalen Bedrohungslage arbeiteten, kamen unabhängig voneinander zu demselben Ergebnis, anstatt dass ein einzelnes Land auf ein isoliertes regionales Problem hingewiesen hätte. | Ein Muster, das von drei unabhängigen nationalen Behörden bestätigt wurde, hat ein anderes Gewicht als der Bedrohungsbericht eines einzelnen Anbieters und erfordert ein entsprechend hohes Maß an institutioneller Aufmerksamkeit. | Wie viele andere nationale Sicherheitsdienste beobachten dasselbe Muster, haben jedoch noch keine abgestimmte Warnmeldung dazu veröffentlicht? |
Die Angriffskette beginnt damit, dass sich der Angreifer in einer Messaging-App als vertrauenswürdiger Kontakt ausgibt und eine Vertrauensbeziehung aufbaut, bevor er Malware übermittelt, die als gewöhnliche Datei getarnt ist. | Dadurch wird der Instinkt umgangen, auf dem die meisten Sicherheitsschulungen basieren – nämlich das Misstrauen gegenüber unbekannten Absendern –, da der Kontakt offenbar jemand ist, den das Ziel bereits kennt. | Sensibilisierungsschulungen, die darauf abzielen, unbekannte Absender oder offensichtlich verdächtige Nachrichten zu erkennen, bieten keinen Schutz vor Angriffen, bei denen sich der Angreifer gezielt als eine bereits vertrauenswürdige Person ausgibt. | Ob die Schulungen zur Sicherheitssensibilisierung einer Organisation speziell auf die Identitätsfälschung bekannter Kontakte eingehen und nicht nur auf unbekannte oder verdächtige. |
Eine identifizierte Malware-Variante nutzt die Infrastruktur einer gängigen Messaging-App als Command-and-Control-Kanal und leitet gestohlene Daten über dieselbe Plattform weiter, die das Opfer für normale Unterhaltungen nutzt. | Auf diese Weise gestalteter bösartiger Datenverkehr ist speziell darauf ausgelegt, sich in den normalen Netzwerkverkehr einzufügen, anstatt von Erkennungswerkzeugen, die nach ungewöhnlichen Zielen Ausschau halten, als auffällig erkannt zu werden. | Eine Netzwerküberwachung, die darauf ausgelegt ist, Datenverkehr an unbekannte oder verdächtige Infrastrukturen zu kennzeichnen, findet möglicherweise nichts, was sie kennzeichnen könnte, da das Ziel des Datenverkehrs ein legitimer, weit verbreiteter Dienst ist. | Ob die derzeitige Netzwerküberwachung in der Lage ist, die missbräuchliche Nutzung der Infrastruktur einer legitimen Messaging-Plattform vom normalen Datenverkehr der Plattform selbst zu unterscheiden. |
Warum das wichtig ist
Alte Annahme | Aktuelle Realität | BlackBerry-Antwort |
Sensible Koordinationsvorgänge können in einer Messaging-App für Verbraucher ausgeführt werden, solange die App verschlüsselt ist. | Die Verschlüsselung blieb während der gesamten Kampagne aufrechterhalten. Was die Angreifer benötigten, war die Möglichkeit, eine Unterhaltung mit dem Zielobjekt zu beginnen – eine Funktion, die eine Verbraucherplattform jedem gewährt, der über eine Nummer oder einen Benutzernamen verfügt. | BlackBerry® SecuSUITE® beschränkt den Kontakt auf Identitäten, die von der Organisation bereitgestellt wurden. Für nicht registrierte Personen gibt es keine Möglichkeit, eine Unterhaltung mit einem BlackBerry- SecuSUITE -Nutzer zu beginnen. BlackBerry bietet Organisationen einen Kanal, der speziell für die Art der informellen, schnellen Koordination entwickelt wurde, für die derzeit standardmäßig Messenger-Apps für Privatanwender genutzt werden. |
Die Schulung der Mitarbeiter, gegenüber unbekannten Absendern vorsichtig zu sein, deckt das Risiko im Zusammenhang mit Messaging-Apps ab. | Die Kontaktaufnahme erfolgt über ein Konto, das sich als bekannter Kontakt oder als technischer Support ausgibt, nachdem über Tage oder Wochen hinweg eine Beziehung aufgebaut wurde, und die Datei zeigt einen funktionierenden Scheinbildschirm. Misstrauen gegenüber Fremden spielt hier keine Rolle. | Die BlackBerry- SecuSUITE -Lösung deckt Smartphones, Tablets, Laptops und Workstations ab, einschließlich der BlackBerry-SecuSUITE für Windows Desktop, sodass keine Geräteklasse übrig bleibt, bei der Mitarbeiter auf eine Consumer-App zurückgreifen müssen. |
Die Geräteverwaltung bestimmt, inwieweit das Unternehmen gezielten Social-Engineering-Angriffen ausgesetzt ist. | Wenn es so aussieht, als würde das Unternehmensgerät die Datei blockieren oder unlesbar machen, fordert der Angreifer das Opfer auf, sie auf einem privaten Gerät außerhalb der verwalteten Infrastruktur zu öffnen. | BlackBerry®UEM legt fest, welche Anwendungen auf verwalteten Geräten zulässig sind, und die Containerisierung von Dynamics sorgt dafür, dass Arbeitsdaten und Arbeitskonten vom privaten Bereich getrennt bleiben. |
Empfohlene Maßnahmen
SOFORT | Suchen Sie nach den im Hinweis genannten Host-Artefakten: „Run Key Persistence“ unter HKCU, „Defender-Ausschlüsse, die außerhalb der Änderungskontrolle hinzugefügt wurden“ sowie ausgehender Telegram-Bot-API-Datenverkehr von Hosts, für den es keinen geschäftlichen Grund gibt. |
SOFORT | Weisen Sie die Mitarbeiter an, die Anfrage abzulehnen, wenn ein bekannter Kontakt oder jemand, der sich als Betreuer ausgibt, angibt, eine Datei auf dem Arbeitscomputer nicht öffnen zu können, oder vorschlägt, es auf einem privaten Gerät zu versuchen. |
KURZFRISTIG | Legen Sie den offiziellen Kommunikationskanal für sensible Abstimmungen fest und stellen Sie ihn auf allen Geräten bereit, mit denen die Mitarbeiter arbeiten (einschließlich Laptops und Workstations). Beachten Sie, dass das Entfernen von Verbraucher-Apps ohne einen Ersatzkanal den Datenverkehr wahrscheinlich auf private Geräte verlagern wird. |
KURZFRISTIG | Ermitteln Sie Mitarbeiter, deren Expositionsprofil mit der in der Empfehlung genannten Opfergruppe übereinstimmt, darunter auch diejenigen, die mit Journalisten, NGO-Partnern und einem breiten Spektrum an Kontakten in Verbindung stehen. Informieren Sie diese individuell und nicht über eine allgemeine E-Mail zur Sensibilisierung. |
LAUFEND | Messaging-Anwendungen für Verbraucher müssen bei der Bedrohungsmodellierung als Einstiegspunkt behandelt werden, genauso wie E-Mail-Anhänge und Wechseldatenträger wie USB-Sticks. |
Position im Bereich „BlackBerry Secure Communications“
Die Verschlüsselung ist nicht die Schwachstelle. Die Malware umgeht die Antivirensoftware des Hosts und wickelt die Befehls- und Kontrollkommunikation über einen Dienst ab, der bereits im Netzwerk vorhanden ist. Unternehmen, die diese App nach wie vor getrennt von ihrer eigentlichen Sicherheitsstrategie betrachten, ziehen eine Grenze, die staatlich geförderte Akteure bereits nicht mehr respektieren. Bei der Beschaffung sollte es nicht darum gehen, welches Produkt welche Dateien oder Angriffe blockiert. Die Lösung für diese Angriffe liegt vielmehr darin, von vornherein die Erlaubnis zu erteilen, eine Verbindung herzustellen, zu kommunizieren und mit Ihren Mitarbeitern in Kontakt zu treten.
Quellenangaben:
Großbritannien und seine Verbündeten decken Spionagesoftware auf, die von iranischen staatlichen Akteuren gegen Dissidenten, Aktivisten und Journalisten eingesetzt wird (Britisches National Cyber Security Centre, 15. September 2026).
Iranische Cyberangriffe auf Dissidenten, Aktivisten und Journalisten (Meldung des britischen National Cyber Security Centre, 15. September 2026).
:quality(90):no_upscale())